Keplr के Google या Apple से जुड़े कुछ खातों में अनधिकृत ट्रेड की खबरों के बाद वॉलेट प्रदाता Web3Auth ने संबंधित सेवाएं अस्थायी रूप से रोक दी हैं। कंपनियां सुरक्षा घटना की जांच कर रही हैं। सवाल सिर्फ खाते तक पहुंच का नहीं है: यह भी स्पष्ट होना बाकी है कि निजी कुंजियां उजागर हुईं या नहीं और प्रभावित संपत्तियों को कैसे सुरक्षित या वापस हासिल किया जाएगा। किसी मौजूदा निजी कुंजी को दूसरे वॉलेट में आयात करने से उस तक पहुंचने का तरीका बदलता है, यह साबित नहीं होता कि कुंजी अब भी गोपनीय है।
Web3Auth की सेवा निलंबित, बहाली की पुष्टि नहीं
7 नवंबर को Keplr ने बताया कि Google या Apple लॉगिन से बनाए गए कुछ खातों में अनधिकृत ट्रेड हुए हैं। इसके बाद कंपनी ने लॉगिन के दोनों विकल्प रोक दिए। उसी दिन Web3Auth ने कहा कि उसके इंफ्रास्ट्रक्चर में सुरक्षा समस्या मिली है, जिससे Keplr के कुछ एम्बेडेड वॉलेट प्रभावित हुए।
Web3Auth के स्टेटस नोटिस में रखरखाव का समय 6 नवंबर, 18:30 UTC से दर्ज था और इसे सुरक्षा घटना से जोड़ा गया था। 8 नवंबर को 13:08 UTC तक नोटिस में कहा गया कि सेवा बहाल होने पर अपडेट दिया जाएगा। सूचीबद्ध रखरखाव अवधि 7 नवंबर को समाप्त हो चुकी थी, लेकिन नोटिस ने सेवा फिर शुरू होने की पुष्टि नहीं की।
MetaMask Builder ने 7 नवंबर की घोषणा में कहा कि शुरुआती जांच में MetaMask उपयोगकर्ताओं पर असर नहीं मिला। यह जानकारी MetaMask तक सीमित है; इससे प्रभावित Keplr खातों की संख्या या उनकी संपत्तियों की स्थिति स्पष्ट नहीं होती।
कुंजी आयात करने से जोखिम खत्म नहीं होता
सितंबर 2025 में अपडेट किए गए Keplr के सुरक्षा निर्देशों के अनुसार, Google लॉगिन वाले खातों में रिकवरी वाक्यांश के बजाय Web3Auth से बनी हेक्साडेसिमल निजी कुंजी इस्तेमाल होती है। यह कुंजी उपयोगकर्ता के डिवाइस पर एन्क्रिप्टेड रूप में रखी जाती है। Keplr के दस्तावेज़ में कुंजी देखने का विकल्प भी बताया गया है, हालांकि कुछ पुराने खातों में यह उपलब्ध नहीं हो सकता। मोबाइल गाइड में Google लॉगिन और रिकवरी वाक्यांश या निजी कुंजी से खाता आयात करने की प्रक्रिया अलग-अलग दी गई है। उपयोगकर्ताओं को कुंजियां सुरक्षित रखने की सलाह दी गई है।
इन सामान्य निर्देशों से पता चलता है कि निजी कुंजी Google लॉगिन से अलग, खाते तक पहुंच का माध्यम हो सकती है। लेकिन कुंजी देखने या निर्यात करने का विकल्प मौजूद होने से यह साबित नहीं होता कि सेवा निलंबित रहने के दौरान हर प्रभावित उपयोगकर्ता उसे निकाल सका। दस्तावेज़ यह भी पुष्टि नहीं करते कि घटना के समय कोई वैकल्पिक लॉगिन तरीका काम कर रहा था।
7 नवंबर के बाद के अपडेट में Keplr ने अधिक गंभीर जानकारी दी: सोशल लॉगिन का इस्तेमाल करने वाले कुछ उपयोगकर्ताओं की निजी कुंजियां समझौता हो गई थीं। कंपनी ने कहा कि वह संपत्तियों को सुरक्षित करने के लिए Web3Auth के साथ काम कर रही है। रिकवरी वाक्यांश या हार्डवेयर वॉलेट से बनाए गए खाते प्रभावित नहीं हुए, जबकि Google या Apple से जुड़े खाते प्रभावित हो सकते हैं। Keplr ने संभावित रूप से प्रभावित उपयोगकर्ताओं से कहा कि वे उन खातों में और धन न भेजें और बची हुई ऐसी संपत्तियां, जिन्हें स्थानांतरित किया जा सकता है, रिकवरी वाक्यांश या हार्डवेयर वॉलेट से सुरक्षित खाते में ले जाएं।
वही निजी कुंजी किसी दूसरे वॉलेट में आयात करने से केवल खाते तक पहुंचने वाला सॉफ्टवेयर बदलता है; लेनदेन की अनुमति देने वाला गोपनीय रहस्य नहीं। यदि कुंजी उजागर हो चुकी है, तो इंटरफेस बदलने से यह तय नहीं होता कि कोई दूसरा व्यक्ति उसका इस्तेमाल नहीं कर सकता। इसलिए कुंजी आयात करने के सामान्य निर्देश, Keplr की इस घटना के लिए दी गई खास सलाह का विकल्प नहीं हैं और न ही हर प्रभावित खाते के लिए काम करने वाले समाधान की पुष्टि करते हैं।
बैलेंस में बदलाव और संपत्ति-वापसी की जांच अलग-अलग
Web3Auth ने कहा कि उसने और उसके साझेदारों ने उन कमजोर Keplr वॉलेटों के लिए व्हाइट-हैट रिकवरी प्रयास शुरू किया है जो अभी तक प्रभावित नहीं हुए थे। इस प्रयास में मूल हमलावर के रास्ते का इस्तेमाल किया जा रहा है। Keplr के मुताबिक, जोखिम घटाने के उपायों के कारण कुछ खातों का बैलेंस कम हो सकता है या शून्य पर पहुंच सकता है। स्टेक की गई और लॉक संपत्तियों ने भी कार्रवाई को जटिल बनाया है।
किसी अनजान ट्रांसफर या कम हुए बैलेंस से अकेले यह तय नहीं होता कि बदलाव हमले, संपत्ति-सुरक्षा की कार्रवाई या किसी अन्य प्रतिक्रिया के कारण हुआ। हर खाते पर असर, संपत्तियां वापस हासिल करने की प्रगति और उपयोगकर्ताओं की निजी कुंजियों तक पहुंच की स्थिति का अलग-अलग आकलन जरूरी है। लॉगिन सेवा बहाल होने का अर्थ सिर्फ यह होगा कि सेवा उपलब्ध है; इससे अपने-आप निजी कुंजियों की सुरक्षा या संपत्तियों की वापसी साबित नहीं होती।